BUF早餐铺 | 华为起诉美国政府销售限制法案违宪；思科呼吁Nexus交换机用户关闭POAP功能以提高安全性；所有Intel处理器面临的新攻击Spoiler确认在软件层面无解 – 作者:Freddy

各位Buffer早上好，今天是2019年3月8日星期五。今天的早餐铺内容主要有：华为起诉美国政府销售限制法案违宪；思科呼吁Nexus交换机用户关闭POAP功能以提高安全性；所有Intel处理器面临的新攻击Spoiler确认在软件层面无解；公安部督办“私家侦探”案件告破：协警贩卖公民信息一月获利17万；连续两年，政府工作报告强调要整治侵犯公民个人信息问题。

华为起诉美国政府销售限制法案违宪

昨天，华为宣布针对美国《2019财年国防授权法》第889条的合宪性向美国联邦法院提起诉讼，请求法院判定这一针对华为的销售限制条款违宪，并判令永久禁止该限制条款的实施。

“美国国会通过立法惩罚华为，且从未展示支持这些限制条款的证据，因此，华为不得不决定通过法律行动予以回应。”华为轮值董事长郭平表示，“该限制条款违背了美国宪法，妨碍华为参与公平竞争，最终伤害的是美国消费者。我们希望法院能做出有益于美国消费者的正确决定。”

华为在德克萨斯州普莱诺的联邦地区法院提起诉讼。根据起诉书，第889条在没有经过任何行政或司法程序的情况下，禁止所有美国政府机构从华为购买设备和服务，还禁止美国政府机构与华为的客户签署合同或向其提供资助和贷款，这违背了美国宪法中剥夺公权法案条款、正当法律程序条款；同时，国会不仅立法，还试图执法和裁决有无违法行为，违背了美国宪法中规定的三权分立原则。[来源：华为]

思科呼吁Nexus交换机用户关闭POAP功能以提高安全性

在昨日发布的安全警报中，思科建议Nexus交换机用户禁用名为PowerOn Auto Provisioning（POAP）的功能。POAP是一种自动配置和空中部署功能，可帮助设备用户初步部署和配置Nexus交换机。该功能通过检查本地配置脚本来工作。如果脚本已被删除，则交换机已重置为出厂设置，或者是第一次启动时，POAP守护程序将连接到预设的服务器列表以下载初始配置文件。要执行此操作，交换机必须首先从本地DHCP服务器获取IP地址，POAP配置设置也可以通过DHCP响应传递。

本地网络上存在攻击者的话可能会向Nexus交换机发送格式错误的DHCP响应，以劫持其POAP设置并欺骗交换机从攻击者的服务器下载和执行配置脚本。这个“错误”不允许黑客通过直接利用来接管设备，但它对于已经在内部网络上破坏了系统并希望升级其对其他设备的访问权限的攻击者非常有帮助。[来源：zdnet]

所有Intel处理器面临的新攻击Spoiler确认在软件层面无解

美国和德国的计算机科学家发表了一篇论文，披露了针对英特尔处理器的新攻击 SPOILER。研究者在 Intel 内存子系统私有实现中发现了地址推测的一个漏洞，它会泄漏内存布局信息，让翻转比特的 Rowhammer 攻击更容易执行。

SPOILER 攻击不同于肆虐的 Spectre 攻击，它无需提权就可以在用户空间进行利用。研究人员称，SPOILER 大幅加快了 Rowhammer 和缓存攻击。Rowhammer 翻转比特攻击影响所有处理器，但要利用 Rowhammer 可能需要花费数周时间，而在 SPOILER 的帮助下，攻击将可以在数秒内完成，Rowhammer 攻击将变得切实可行。

研究者表示所有 Intel 核心 CPU 都存在漏洞；他们也测试了 ARM 与 AMD CPU，但没有发现类似问题。由于这是一种体系结构设计上的问题，所以如果没有在底层硬件进行重新设计，那么该漏洞目前来看无法轻易修复甚至缓解。[来源：cnbeta]

公安部督办“私家侦探”案件告破：协警贩卖公民信息一月获利17万

2月26日下午，随着22岁的四川男子刘某投案自首，由茅箭公安分局侦办的“5·25”部督特大侵犯公民个人信息案27名涉案人员全部到案。此案中有19人去年已被判刑，涉及非法获取的公民信息15万余条，涉案金额60余万元。这也是我市建市以来破获的首起侵犯公民个人信息部督案件。

茅箭公安分局刑侦大队大队长罗平提醒广大市民，大数据时代，侵犯公民个人信息犯罪处于高发态势，公安机关的打击力度也越来越大，非法获取、出售或提供50条以上征信、财产等公民个人信息，即构成刑事犯罪。市民若发现个人信息被侵犯，要及时举报或报警。如果个人信息被侵犯造成严重后果或经济损失的，可以通过网络、电话等方式向属地公安机关报案。公安机关将依法严厉查处侵犯公民个人信息的犯罪行为，切实保护公民信息安全。[来源： 十堰晚报]

连续两年，政府工作报告强调要整治侵犯公民个人信息问题

3月5日，十三届全国人大二次会议开幕，国务院总理李克强作政府工作报告。报告中再次指出要整治侵犯公民个人信息等突出问题，坚决守护好人民群众的平安生活。3月5日，政府工作报告“2019年政府工作任务”中，明确表示要“加强国家安全能力建设。完善立体化社会治安防控体系，深入推进扫黑除恶专项斗争，依法惩治盗抢骗黄赌毒等违法犯罪活动，打击非法集资、传销等经济犯罪，整治侵犯公民个人信息等突出问题，坚决守护人民群众的平安生活”。

南都记者发现，关于整治侵犯公民个人问题已连续两年出现在政府工作报告中。2018年的政府工作报告指出，我国要整治电信网络诈骗、侵犯公民个人信息、网络传销等突出问题，维护国家安全和公共安全。关于保护个人信息，早在2015年的政府工作报告中就已出现。该年政府工作报告指出要推进社会信用体系建设，建立全国统一的社会信用代码制度和信用信息共享交换平台，依法保护企业和个人信息安全。[来源：安全内参]

来源：freebuf.com 2019-03-08 07:00:42 by: Freddy